← España

AAPP-00028-2016

1/13 Procedimiento Nº AP/00028/2016 RESOLUCIÓN: R/02484/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00028/2016, instruido por la Agencia Española de Protección de Datos a la entidad CONSELLERÍA DE IGUALDAD Y POLÍTICAS INCLUSIVAS DE LA GENERALITAT VALENCIANA, vistas las denuncias presentadas, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 19 de octubre de 2015, tuvieron entrada en esta Agencia escritos remitidos por cuatro denunciantes (en lo sucesivo las denunciantes) en los que se declara lo siguiente: “Desean formular una denuncia contra la sociedad RED VALENCIANA DE SALUD MENTAL, S.L., dedicada a la asistencia privada a enfermos mentales, tanto privados como tutelados por la administración, principalmente pertenecientes a la Unidad Técnica de Tutelas de la Generalitat Valenciana. Según manifiestan, la citada empresa maneja datos confidenciales, de elevada privacidad, como pueden ser informes médicos, psiquiátricos, cuentas bancarias, sentencias de incapacidad, datos de familiares, etc. Añaden que la citada empresa, como se puede apreciar en las hojas de publicidad de las mismas publicadas en el levante el día 01/08/2015, trabaja como un grupo de empresas, circunstancia que se pone de manifestó a través de la página web de dicha empresa: http://www..........com/ así como en la página del Facebook: https://www.facebook.com/Red-Valenciana-................/ Además incluso en la página del Facebook, aparecen fotos de residentes de los centros. Señalan, a su juicio, que dicha empresa, recibe en su sede los informes psiquiátricos, enviados por particulares así como de la Unidad Técnica de Tutelas de Valencia y Alicante, para su valoración y ubicación en los diferentes centros que la forman. Como prueba de ello adjuntan caratula de fax donde se demuestra que son recibidos por B.B.B., socia de RED VALENCIANA. Según afirman, es ésta persona quien los distribuye entre los directores de los distintos centros. Así como el señor C.C.C., que es el que maneja el correo de la ........@gmail.com (también se adjunta email) Señalan también los denunciantes que RED VALENCIANA, maneja datos que deberían estar protegidos por la ley de protección de datos como son: cuentas bancarias, nombre de familiares, sentencias de nombramiento de tutor, técnicos responsables de los casos, gastos, etc...”. Adjunto a la denuncia aportaron la siguiente documentación: • Faxes fechados en 2013 y 2014 remitidos desde la DIRECCIÓN TERRITORIAL DE BIENESTAR SOCIAL DE VALENCIA, SECCIÓN TÉCNICA DE TUTELAS a la Red Valenciana de Salud Mental conteniendo informes personales de pacientes con datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 salud. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información a la DIRECCION TERRITORIAL DE IGUALDAD Y POLÍTICAS INCLUSIVAS, que informaron lo siguiente: 1. La Unidad Técnica de Tutelas (UTT) desarrolla todas sus acciones y actuaciones para promover la atención integral y los cuidados especiales que requiere la persona con capacidad modificada judicialmente. 2. En el desarrollo de dichas competencias la UTT tiene que tratar documentación médica que es emitida por los centros hospitalarios (informes de seguimiento, alta hospitalaria, servicios de urgencias, etc.), por centros de salud, por unidades de salud mental, por servicios médicos de entidades aseguradora privadas o por profesionales privados. 3. Los canales de comunicación previos a la recepción de la documentación son: comunicaciones telefónicas, solicitudes por escrito, ya sea a través de correo electrónico o postal y a través de fax. 4. Respecto a las garantías implantadas para que la información remitida no sea objeto de manipulación, señalan que el traslado de información se realiza entre profesionales que intervienen en el proceso para la obtención del recurso socialmente más adecuado. 5. En cuanto a la finalidad de petición y posterior recepción de la documentación médica solicitada, indican que ésta se utiliza para solicitar plazas residenciales en centros asistenciales adecuados a las patologías que padecen las personas incapacitadas y de las que la Generalitat ejerce un cargo tutelar. 6. En cuanto a la identificación del fichero con el código de inscripción en el Registro general de la Agencia Española de Protección de Datos, señalan que la UTT no dispone de un fichero especificado para tal fin. 7. Añaden que las comunicaciones son dirigidas a los responsables de las entidades y/o centros asistenciales o profesionales de las áreas médica/psicológica o del área social/asistencial, siendo el canal de comunicación preferente el correo electrónico ya que es el medio de que dispone la UTT. 8. Respecto de los informes remitidos a la RED VALENCIANA DE SALUD MENTAL tienen su origen en que en diferentes centros asistenciales de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 dicha red se encuentran ingresadas personas incapacitadas judicialmente sobre las que la Generalitat ejerce el cargo de tutor. Añaden que la finalidad por la que fueron enviados informes médicos a dichas entidades obedece única y exclusivamente a la búsqueda por parte de la UTT de un recurso asistencia adecuado a las patologías que dichas personas padecen y/o al disfrute secuencializado de la plaza en los recursos más idóneos a las características de la persona con discapacidad o diversidad funcional, según un proceso individual de rehabilitación, integración de atención de larga duración, dentro de los recursos previstos en la normativa vigente. 9. Finalmente y respecto al amparo jurídico para realizar las comunicaciones de datos médicos a una entidad privada, señalan que no se realiza cesión de datos, sino únicamente se realiza una consulta o compartir información, ya que en caso de que el usuario esté atendido en el centro, la entidad titular del mismo para su atención y cuidados debe disponer del historial médico y social. TERCERO: Con fecha 31 de mayo de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la CONSELLERÍA DE IGUALDAD Y POLÍTICAS INCLUSIVAS DE LA GENERALITAT VALENCIANA por la presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. h)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, CONSELLERÍA DE IGUALDAD Y POLÍTICAS INCLUSIVAS DE LA GENERALITAT VALENCIANA presentó escrito de alegaciones en el que, en síntesis, manifestaba que “…Al respecto queremos poner de manifiesto que el cargo de tutor o curador, con arreglo al Derecho civil, se obtiene por resolución judicial lo que supone que las actuaciones que realiza la entidad pública, como entidad tutora, no se ejercen en el ejercicio de potestades administrativas, sino como representante legal del incapacitado, en el ejercicio puramente de funciones civil, como cualquier particular (tutor o curador), sin que, en este caso, le pueda ser de aplicación las exigencias de las Administraciones Públicas que ejercen potestades públicas, en la transmisión de datos. (…) Por lo que -tal como se recoge en Antecedente de Hecho Segundo, punto 9- no se realiza por parte de la UTT de la Generalitat una cesión de datos a una entidad privada, sino únicamente una comunicación, como pueda ser una consulta o petición de plaza asistencial, con naturaleza privada, dado que se actúa como tutor. Téngase en cuenta, que la Unidad Técnica de Tutelas, al actuar como tutor o curador, actuando en nombre y en representación y en beneficio de ellas, actúa como un particular cuando pide una plaza. Petición que no se puede realizar sin la previa autorización judicial para el ingreso del incapacitado en un centro de salud mental. En todo caso, téngase en cuenta que si se acordara por la autoridad judicial su ingreso en dicho recurso (centro asistencial, en este caso, para personas con enfermedad mental crónica), se deben no solo transmitir los datos personales (nombre y apellidos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 NIF, cuenta bancaria, etc.), que como tutor (Entidad Pública tutora) estamos obligados a aportar, en nombre y representación de la persona tutelada, sino sus informes personales, que constituyen el historial de salud y social completo, para su cuidado asistencial; siendo la empresa titular del servicio la encargada de tratamiento de estos datos de carácter personal y mantener la confidencialidad. Los hechos denunciados lo que ponen de manifiesto es que por parte de la empresa no se hayan tratado adecuadamente estos datos de carácter personal y evidencia una falta o negligencia en el procedimiento de tratamiento de datos de carácter personal confidenciales o reservados.” Concluyen las alegaciones solicitando “el sobreseimiento del expediente sancionador” o, en caso contrario, que se les traslade copia del expediente. Con fecha 4 de julio, la instructora del procedimiento envió la copia del expediente solicitada. QUINTO: Con fecha 30 de junio de 2016, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por cuatro denunciantes y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante la CONSELLERÍA DE IGUALDAD Y POLÍTICAS INCLUSIVAS DE LA GENERALITAT VALENCIANA, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/07069/2015. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00028/2016 presentadas por la CONSELLERÍA DE IGUALDAD Y POLÍTICAS INCLUSIVAS DE LA GENERALITAT VALENCIANA, y la documentación que a ellas acompaña. SEXTO: Con fecha 11 de agosto de 2016, tiene entrada en el Registro de esta Agencia un escrito de la Dirección Territorial de Igualdad y Políticas Inclusivas de la Generalitat Valenciana en respuesta a la apertura del periodo de práctica de pruebas. SÉPTIMO: Con fecha 16 de septiembre de 2016, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que la CONSELLERÍA DE IGUALDAD Y POLÍTICAS INCLUSIVAS DE LA GENERALITAT VALENCIANA ha infringido lo dispuesto en el artículo 9.1 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
  2. h)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9.1 de la mencionada Ley. OCTAVO: Notificada la propuesta de resolución, la CONSELLERÍA DE IGUALDAD Y POLÍTICAS INCLUSIVAS DE LA GENERALITAT VALENCIANA realizó alegaciones frente a la misma en las que comunica: “Que desde que se iniciara este procedimiento, esta Consellería de Igualdad y Políticas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 Inclusivas ha adoptado las medidas de orden interno necesarias para garantizar el cumplimiento del artículo 9.1 de la LOPD y del artículo 104 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPO. En prueba de ello, se adjunta informe emitido por el Servicio de Seguridad adscrito a la Dirección General de Tecnologías de la Información y de las Comunicaciones de la Generalitat sobre la solución técnica para cifrado de intercambio de información. (…) INFORME DE IMPLANTACIÓN DE UNA SOLUCIÓN TÉCNICA PARA CIFRADO EN EL INTERCAMBIO DE INFORMACIÓN EN LA CONSELLERIA DE IGUALDAD Y POLÍTICAS INCLUSIVAS Tras la solicitud por parte de la Consellería de Igualdad y Políticas Inclusivas a la Dirección General de Tecnologías de la Información y las Comunicaciones de un sistema de intercambio seguro de Información que garantice la confidencialidad en las comunicaciones y estudiada la idoneidad de diversas soluciones alternativas desde el Servicio de Atención al usuario y a su Puesto de Trabajo, se ha procedido a la instalación y posterior formación de los usuarios de la Unidad de Tutelas del Servicio Territorial de la consellería de la herramienta 7ZIP. Dicha solución técnica, además de comprimir la información permite cifrar esta utilizando un protocolo de cifrado AES de 256 bits. Este algoritmo es un esquema de cifrado por bloques. Se trata de un sistema de cifrado de clave simétrica; método en el cual se usa una misma clave para cifrar y descifrar mensajes. El remitente cifra un mensaje usando la clave, lo envía al destinatario, y éste lo descifra con la misma clave. La utilización de un sistema de cifrado de la Información en la transmisión de datos posibilita el cumplimiento de las medidas de seguridad en las telecomunicaciones establecidas en el artículo 104 deI Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de La Lev Orgánica 15/1999 de 13 de diciembre, de protección de datos de carácter personal. (…) Así mismo, este sistema facilita también el cumplimiento de lo establecido en el artículo 21 de la ORDEN 19/2013, de 3 de diciembre, de la Consellería de Hacienda y Administración Pública, por la que se establece las normas sobre el uso seguro de medios tecnológicos en la Administración de la Generalitat. Artículo 21. Correo electrónico corporativo 6. Los usuarios no deben enviar mensajes con información sensible tanto en el cuerpo del mensaje como en los archivos adjuntos. Este envío únicamente podrá realizarse si se adoptan los mecanismos necesarios para evitar que la información sea inteligible o manipulada por terceros (cifrado y firma electrónica).” Concluye su escrito solicitando que a la vista de las actuaciones llevadas a cabo por esa Consellería se declare la no existencia de infracción por el artículo 9.1 de la LOPD. HECHOS PROBADOS PRIMERO: Constan en el expediente cuatro denuncias a una entidad que se dedica a la asistencia a enfermos mentales, por la forma en que se tratan los datos personales de los pacientes. En prueba de lo denunciado se aportan faxes remitidos desde la Dirección Territorial de Bienestar Social, Sección Técnica de Tutelas de la Generalitat Valenciana y enviados a la entidad denunciada, la Red Valenciana de Salud Mental. En estos faxes se envían informes personales de pacientes con datos relacionados con su salud. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 SEGUNDO: La Inspección de Datos ha solicitado información a la Dirección Territorial de Igualdad y Políticas Inclusivas de la Generalitat Valenciana respecto de varios aspectos relacionados con el procedimiento utilizado para el envío de información que contenga datos de carácter personal. En respuesta a esta solicitud se informa de que la Unidad Técnica de Tutelas (UTT) desarrolla todas sus acciones y actuaciones para promover la atención integral y los cuidados especiales que requiere la persona con capacidad modificada judicialmente. TERCERO: Consta que la Directora Territorial de Igualdad y Políticas Inclusivas ha informado que la UTT trata la documentación médica emitida por los centros hospitalarios (informes de seguimiento, alta hospitalaria, servicios de urgencias, etc.), por centros de salud, por unidades de salud mental, por servicios médicos de entidades aseguradora privadas o por profesionales privados. Añade que las comunicaciones son dirigidas a los responsables de las entidades y/o centros asistenciales o profesionales de las áreas médica/psicológica o del área social/asistencial, siendo el canal de comunicación preferente el correo electrónico ya que es el medio de que dispone la UTT. CUARTO: Expone en su escrito la Directora, que los canales de comunicación previos a la recepción de la documentación son: comunicaciones telefónicas, solicitudes por escrito, ya sea a través de correo electrónico o postal y a través de fax. Respecto a las garantías implantadas para que la información remitida no sea objeto de manipulación, señalan que el traslado de información se realiza entre profesionales que intervienen en el proceso para la obtención del recurso socialmente más adecuado. QUINTO: En cuanto a la finalidad de petición y posterior recepción de la documentación médica solicitada, indican que ésta se utiliza para solicitar plazas residenciales en centros asistenciales adecuados a las patologías que padecen las personas incapacitadas y de las que la Generalitat ejerce un cargo tutelar. SEXTO: Señalan que la UTT no dispone de un fichero, inscrito en el Registro General de la Agencia Española de Protección de Datos, especificado para tal fin. SÉPTIMO: Exponen que no se realiza cesión de datos con las comunicaciones de datos médicos a una entidad privada, sino únicamente se realiza una consulta o compartir información, ya que en caso de que el usuario esté atendido en el centro, la entidad titular del mismo para su atención y cuidados debe disponer del historial médico y social. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 II El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” III La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El art. 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado”. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el art. 3.
  4. b)los define como “todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. Por su parte la letra
  5. c)del mismo artículo permite considerar tratamiento de datos a las “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Para completar el sistema de protección en lo que a la seguridad afecta, el art. 44.3.
  6. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
  7. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  8. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
  9. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
  10. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. El Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, en su artículo 81.1 señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. El artículo 88, en su punto 3, se refiere al documento de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa como establece el artículo 81.3.
  11. a)del Reglamento de desarrollo de la LOPD, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que se refieran a datos de salud. En los hechos de este procedimiento, consta probado que la Dirección Territorial de Igualdad y Políticas Inclusivas de la Generalitat Valenciana, perteneciente a la CONSELLERÍA DE IGUALDAD Y POLÍTICAS INCLUSIVAS DE LA GENERALITAT VALENCIANA, envía información que incluye datos de carácter personal relacionados con la salud de las personas incapacitadas cuya tutela está asignada a la Generalitat Valenciana. Consta también probado que para estos envíos de información se utiliza el correo electrónico y el fax y que no se cifran los datos personales relacionados con la salud por medio de contraseña ni se utilizan otros mecanismos que garanticen que la información no sea inteligible ni manipulada por terceros. El Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, en su artículo 81 apartado 3 determina lo siguiente: “Además de las medidas de nivel básico y medio, las medidas de nivel alto se aplicarán en los siguientes ficheros o tratamientos de datos de carácter personal: a. Los que se refieran a datos de ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual. b. Los que contengan o se refieran a datos recabados para fines policiales sin consentimiento de las personas afectadas. c. Aquéllos que contengan datos derivados de actos de violencia de género.” Igualmente el art. 104 del citado Reglamento, en relación con las medidas de seguridad de nivel alto establece: “Telecomunicaciones. Cuando, conforme al artículo 81.3 deban implantarse las medidas de seguridad de nivel alto, la transmisión de datos de carácter personal a través de redes públicas o redes inalámbricas de comunicaciones electrónicas se realizará cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que la información no sea inteligible ni manipulada por terceros.” Esta es la concreta medida de seguridad de las legalmente previstas en la que se observa la vulneración del principio de seguridad de los datos, dado que se ha constatado que la Dirección Territorial de Igualdad y Políticas Inclusivas de la Generalitat Valenciana realiza comunicaciones de datos personales relacionados con la salud de las personas incapacitadas cuya tutela está asignada a la Generalitat Valenciana, sin que se cifre la información por medio de contraseña para evitar que sea manipulada por terceros. En las alegaciones a la propuesta de resolución, la CONSELLERÍA DE IGUALDAD Y POLÍTICAS INCLUSIVAS DE LA GENERALITAT VALENCIANA presenta un informe, emitido por el Servicio de Seguridad adscrito a la Dirección General de Tecnologías de la Información y de las Comunicaciones de la Generalitat, sobre la solución técnica para cifrado en el intercambio de información. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 En este informe, el Servicio de Seguridad comunica que, para conseguir un sistema de intercambio seguro de Información que garantice la confidencialidad en las comunicaciones, se ha instalado la herramienta 7ZIP. Con este sistema, el remitente cifra un mensaje usando una clave y el destinatario lo descifra con la misma clave. Se expone también en las alegaciones que la Orden 19/2013, de 3 de diciembre, de la Consellería de Hacienda y Administración Pública, por la que se establecen las normas sobre el uso seguro de medios tecnológicos en la Administración de la Generalitat, establece en su artículo 21, con respecto al correo electrónico corporativo, que no se deben enviar mensajes con información sensible tanto en el cuerpo del mensaje como en los archivos adjuntos, a menos que se adopten mecanismos para evitar que la información sea inteligible o manipulada por terceros. En esta Orden de la Generalitat Valenciana se expone la misma medida de seguridad prevista en el Reglamento de la LOPD: la seguridad en la transmisión por redes públicas o inalámbricas de comunicaciones electrónicas, de la información que incluya datos de carácter personal de los calificados como sensibles, a cuyo tratamiento deben aplicarse medidas de seguridad de nivel alto, según lo previsto en el artículo 81.3 de dicho Reglamento. El mencionado informe del Servicio de Seguridad contempla la instalación de una solución técnica para el intercambio seguro de información que garantice la confidencialidad en las telecomunicaciones. A este respecto puede subrayarse que el Reglamento de desarrollo de la LOPD solo contempla la exigencia de encriptación o cifrado para la comunicación que incluya datos para cuyo tratamiento deban implantarse medidas de seguridad de nivel alto, conforme al artículo 81.3 del Reglamento, que en gran parte coinciden con los datos especialmente protegidos del artículo 7 de la LOPD. De la misma manera, el mencionado artículo 21 de la Orden 19/2013 de la Consellería de Hacienda y Administración Pública de la Generalitat, habla del envío de mensajes de correo electrónico con “información sensible". Esto respecto de cual es el tipo de información que precisa unas medidas de seguridad concretas que impidan que sea inteligible o manipulada por terceros cuando se envía por medio de correo electrónico. Por otra parte, con relación al medio a utilizar para el envío de esta específica información, hay que tener en cuenta que el fax no constituye un medio de transmisión seguro para esta finalidad, por la dificultad para el cifrado de la información remitida por este medio. Esta es una cuestión que habrá de tenerse en cuenta por la Consejería de Igualdad de la Generalitat, para la remisión de información que contenga datos de carácter personal especialmente protegidos, en el futuro. En conclusión, vistas las medidas adoptadas por la CONSELLERÍA DE IGUALDAD Y POLÍTICAS INCLUSIVAS DE LA GENERALITAT VALENCIANA para que las comunicaciones de datos personales relacionados con la salud de las personas incapacitadas cuya tutela está asignada a la Generalitat Valenciana, se realicen cifrando la información por medio de contraseña para evitar que sea manipulada por terceros, se considera que constituyen una medida de seguridad apropiada que impedirá que en el futuro vuelva a producirse una nueva infracción del artículo 9.1 de la LOPD como la detectada en el presente procedimiento. No obstante, se recuerda que además es preciso dejar de utilizar el fax para remitir información que incluya datos de carácter personal especialmente protegidos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 IV La CONSELLERÍA DE IGUALDAD Y POLÍTICAS INCLUSIVAS DE LA GENERALITAT VALENCIANA expone en sus alegaciones, tanto al acuerdo de inicio como a la propuesta de resolución, que la responsabilidad en los hechos denunciados, corresponde a la entidad Red Valencia de Salud Mental, SL que es a quien se denuncia y quien habría cometido la infracción. A este respecto hay que señalar que los procedimientos sancionadores se inician de oficio por la AEPD, que es quien determina la responsabilidad de los hechos constatados, independientemente de la intencionalidad del denunciante al presentar su escrito de denuncia. En el presente procedimiento de Declaración de Infracción de las Administraciones Públicas se atribuye la responsabilidad al órgano administrativo que ha infringido la norma. Sentado esto, procede resaltar que de acuerdo con lo dispuesto en el 43.1 de la LOPD “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El concepto de “responsables de los ficheros” debe integrarse con la definición que de los mismos recoge el artículo 3.
  12. d)de la LOPD. Este último precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Así conforme al citado artículo 3.
  13. d)el responsable del fichero o del tratamiento es “la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. En la misma línea el artículo 5.1
  14. q)del RLOPD define como responsable del fichero o del tratamiento a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” Dentro de lo expuesto y de conformidad con las definiciones citadas la CONSELLERÍA DE IGUALDAD Y POLÍTICAS INCLUSIVAS DE LA GENERALITAT VALENCIANA es responsable del fichero de los datos de carácter personal relacionados con la salud, de las personas incapacitadas cuya tutela está asignada a la Generalitat Valenciana. Por otra parte también es responsable del tratamiento realizado con estos datos personales al enviarlos a través de redes públicas o redes inalámbricas de comunicaciones electrónicas sin cifrar los datos para evitar que sea manipulada por terceros. Por esta razón se considera que la Consellería de Igualdad y Políticas Inclusivas de la Generalitat Valenciana es la responsable de la vulneración de las medidas de seguridad imputada en el presente procedimiento de Declaración de Infracción de las Administraciones Públicas. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la CONSELLERÍA DE IGUALDAD Y POLÍTICAS INCLUSIVAS DE LA GENERALITAT VALENCIANA ha infringido lo dispuesto en el artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
  15. h)de la citada Ley Orgánica. SEGUNDO: NO REQUERIR la adopción de medidas toda vez que se ha acreditado que la CONSELLERÍA DE IGUALDAD Y POLÍTICAS INCLUSIVAS DE LA GENERALITAT VALENCIANA ha implantado un sistema para el intercambio seguro de información que garantice la confidencialidad en las telecomunicaciones. Estas medidas de orden interno implantadas se consideran adecuadas para evitar que en el futuro pueda producirse una nueva infracción del artículo 9.1 de la LOPD. TERCERO: NOTIFICAR la presente resolución y el Anexo a la CONSELLERÍA DE IGUALDAD Y POLÍTICAS INCLUSIVAS DE LA GENERALITAT VALENCIANA y la resolución a cada una de las cuatro denunciantes contenidas en el Anexo. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.